Dans le contexte actuel de crise sanitaire, les collectivités sont appelées à procéder à des distributions massives de masques auprès de leurs administrés. Veuillez donc trouver ci-après quelques recommandations relatives à la mobilisation de fichiers existants et à la constitution de nouveaux traitements de données.

Les traitements de données personnelles susceptibles d’être mis en œuvre, auront pour principales finalités :

• l’information des administrés quant à la procédure à suivre pour récupérer les masques ;
• l’organisation des rendez-vous, ou l’établissement du fichier nécessaire à un envoi postal de ces derniers ;
• le contrôle des opérations de distribution de masques, dans le respect des conditions définies par la collectivité, et le suivi de ces opérations.

L’information des administrés sur le dispositif : Quels fichiers mobilisables ?

Les collectivités peuvent vouloir s’engager dans une démarche d’information individuelle des administrés quant à la procédure à suivre pour obtenir des masques de protection.

Pour rappel, le « fichier de population » (recensant de façon exhaustive et permanente les coordonnées de leurs administrés, et utilisé pour communiquer auprès de ces derniers, de façon proactive et individuelle, sur tout sujet intéressant la vie de la municipalité) est un fichier qui est interdit et que les collectivités ne devraient donc posséder.

Néanmoins, les collectivités peuvent utilement recourir à certains fichiers préexistants. Leur utilisation, complétée par la fourniture d’une information générale (par voie de presse, radio, télévision locales, affichage dans la rue, les commerces et services publics de proximité, publication sur le site internet et comptes de réseaux sociaux, etc.) devrait permettre de garantir la bonne connaissance, par l’ensemble des foyers de la commune, de la procédure mise en place pour obtenir les masques.

Peuvent ainsi être utilisés :

Le fichier de communication municipale

Ce fichier de communication institutionnelle est entre autres destiné à informer les administrés des événements de la vie municipale et des services offerts, à les consulter sur des projets, à réaliser des enquêtes, à accueillir les nouveaux arrivants, etc.

Il a donc naturellement vocation à être mobilisé pour fournir toute indication utile sur les actions menées par la collectivité pour protéger sa population dans le cadre de la gestion de la crise.

• de l’origine des données utilisées pour ce traitement,
• de sa finalité,
• du caractère facultatif de cette collecte à leur égard,
• de la conservation éventuelle de leurs données dans un fichier et donc de leur droit de s’opposer à y figurer sans qu’il en résulte de conséquences à leur égard,
• des destinataires des informations,
• et des conditions d’exercice de leur droit d’accès, de rectification et de suppression.

• l’identité,
• la date ou l’année de naissance,
• l’adresse,
• le cas échéant, le nombre de personnes, les centres d’intérêt ou la qualité de président d’une association, par exemple (ne pas oublier que la collecte de chaque information doit pouvoir être justifiée et servir au moment où on la collecte).

Les registres communaux d’information et d’alerte des populations

Les données contenues dans les registres nominatifs constitués dans le cadre du plan départemental d’alerte et d’urgence (données relatives aux personnes âgées et handicapées) ou du plan communal de sauvegarde, peuvent être utilisées par les personnes habilitées à en connaître pour renseigner personnellement les intéressés sur les modalités d’obtention d’un masque de protection (ex : possibilité d’une livraison à domicile).

Pour rappel, toutes les personnes accédant aux données contenues dans ce type de registres sont tenues au secret professionnel.

Le registre doit comprendre des informations relatives à la demande d’inscription (date et, si nécessaire, identité et qualité du tiers demandeur), et à la personne concernée :

• Les nom, prénoms et la date de naissance ;
• La situation au titre de laquelle elle est inscrite sur le registre nominatif (les inscriptions sont fondées sur ces seuls éléments objectifs. Le maire ne dispose pas d’un pouvoir d’appréciation et, s’agissant d’un système déclaratif, n’a pas à exiger de pièces justificatives de l’appartenance à l’une ou l’autre des catégories cibles) ;
• L’adresse, le numéro de téléphone ;
• Si cela est nécessaire, les coordonnées du service intervenant à domicile et la personne à prévenir en cas d'urgence.

Seules ces informations peuvent figurer dans ce registre obligatoire « plan d’alerte et d’urgence ». Elles pourront toutefois être complétées d’autres éléments, à l’initiative des personnes concernées, dans le cadre de l’éventuel dispositif complémentaire d’alerte et d’information mis en place par le maire.

La liste électorale

Le code électoral permet à tout électeur, candidat, parti ou groupement politique de prendre communication et copie de la liste électorale, à condition de s'engager à ne pas en faire un usage commercial.

Rien ne s’oppose donc à ce qu’un maire exploite les données contenues dans ce fichier pour adresser aux administrés des courriers d’information sur les modalités de mise en œuvre des opérations de distribution de masques.

Autres fichiers possibles

Les communes peuvent utiliser les fichiers d’autres traitements qu’elles mettent en œuvre pour donner des informations liées à la gestion de crise sanitaire en lien avec la finalité de ces traitements (ex : utilisation du fichier des inscriptions scolaires pour informer sur les horaires de la cantine scolaire, etc.).

Les communes peuvent également s’appuyer sur les fichiers de tiers, en particulier les fichiers de partenaires institutionnels

Les communes ont aussi la possibilité de demander à leurs partenaires institutionnels, intervenant dans le secteur sanitaire, social et médico-social (CCAS, MDPH, caisses de sécurité sociale, etc.) de relayer auprès de leurs usagers l’information utile quant aux modalités qu’elles ont prévues pour la délivrance de masques.

Pour autant, sauf consentement des personnes concernées ou texte particulier le prévoyant expressément, aucune donnée d’usagers (identité, adresse, composition du foyer) ne peut être transmise directement aux communes par ces partenaires pour enrichir ou établir une « liste de diffusion ».

Le fichier de la taxe d'habitation

Ce fichier associe à la plupart des foyers des données relatives à l’identité des redevables, l’adresse du domicile et la composition familiale.

Il peut désormais être utilisé par les collectivités territoriales pour la communication institutionnelle sur le sujet de la distribution des masques, ainsi que pour l’envoi de ces derniers aux différents foyers.

Cette utilisation spécifique devra se faire à partir d’une extraction du fichier. Ce nouveau fichier, constitué pour l’envoi des masques, devra respecter l’ensemble des principes du RGPD et, en particulier, être détruit à l’issue des opérations de distribution. Les personnes concernées devront être informées de la mise en œuvre de ce traitement, par exemple par une mention dans les courriers ou courriels qui leur seront adressés ou sur le site web de la collectivité (cf. l’exemple de mention d’information fourni plus bas).

Parmi les garanties à prévoir, la CNIL a relevé, en particulier :

• La limitation du traitement opéré aux seules finalités précédemment évoquées et aux seules données strictement nécessaires à la satisfaction de celles-ci.

À cet égard, en plus des données relatives à l’identité des redevables, à leur adresse et à la composition familiale du foyer (pour déterminer le nombre de masques à envoyer), la date de naissance des intéressés et la nature de l’occupation du domicile pourront être utilisées, si la délivrance des masques est conditionnée au fait d’avoir un certain âge ou de résider à titre principal dans la collectivité.

• L’encadrement des opérations sous-traitées, en cas de recours à un prestataire de services pour la mise sous pli des masques.

En effet, en application des dispositions du Livre des procédures fiscales et du RGPD, les traitements, par un prestataire de services, des données contenues dans les rôles des impôts locaux devront être encadrés par une convention définissant précisément leur objet, rappelant au sous-traitant l’obligation de prendre toutes les mesures utiles pour garantir la sécurité des données (intégrité, confidentialité et disponibilité) et l’absence d’utilisation détournée, ainsi que de procéder à la destruction des informations transmises dès l'achèvement du contrat. Par ailleurs, la collectivité devra préalablement informer la direction générale des Finances publiques de la sous-traitance envisagée.

• L’information du public sur l’usage qui est fait de leurs données personnelles, conformément au RGPD.

Exemple de mention d'information

L’organisation, le contrôle et le suivi de la distribution

L’envoi des masques par voie postale

Les communes qui souhaitent envoyer les masques par voie postale peuvent le faire en utilisant les divers fichiers à leur disposition. Néanmoins, aucun d’entre eux ne semble adapté à cette opération, notamment pour réserver les envois postaux aux résidences principales et adapter le nombre de masques envoyés à la composition du foyer. Dans ces conditions, la CNIL admet que l’on puisse recourir à une extraction du rôle de la taxe d’habitation, à condition de respecter certaines précautions (cf. Le fichier de la taxe d'habitation).

La prise de rendez-vous pour la délivrance de masques en main propre, ou l’inscription dans un fichier pour une transmission par voie postale

Les collectivités peuvent mettre en place des dispositifs d’inscription dans un fichier de diffusion, ou de prise de rendez-vous par téléphone ou en ligne. Ces traitements de données personnelles devront tenir compte des principes "Informatique et libertés" garantissant la protection des informations enregistrées : finalité, minimisation, sécurité, durée limitée, droits des personnes.

Les fichiers constitués ne devraient donc pas contenir d’autres données que celles strictement nécessaires à l’organisation et à la préparation de la remise des masques :

• L’identité des personnes qui viendront les récupérer,
• Le point de distribution concerné au regard du lieu de résidence,
• Le nombre de masques devant être délivrés en raison de la composition du foyer ou de la détention de procurations,
• D’éventuels engagements sur l’honneur quant à la véracité des déclarations effectuées et le respect des conditions posées par la collectivité (ex : être résident dans la collectivité à titre principal, avoir un âge minimum ou exercer telle ou telle profession).

Enfin, les données devront être conservées dans des conditions garantissant leur intégrité, leur confidentialité et leur disponibilité, traitées uniquement dans le cadre de la procédure d’’attribution de masques, et conservées pour une durée n’excédant pas celle nécessaire à la satisfaction de cette finalité.

Le contrôle de la qualité des demandeurs et du nombre de masques délivrés

Compte tenu de l’impératif d’une gestion rigoureuse de la distribution des masques, il est possible que les collectivités décident de :

• Subordonner leur délivrance à certaines conditions, comme résider au sein de la commune, avoir un âge minimum ou exercer une profession spécifique ;
• Limiter la quantité de masques fournie à chacun des intéressés, sur la base de critères objectifs et prédéfinis.

Au stade de la récupération des masques, des contrôles peuvent être réalisés par les collectivités, en particulier à partir des pièces justificatives dont les administrés auront été préalablement invités à se munir :

• pièce d’identité,
• document attestant de l’adresse du domicile et/ou de la composition du foyer (ex. : facture d’eau, avis d’imposition, quittance de loyer, livret de famille, attestation CAF, etc.),
• de l’exercice d’une profession ou de toute autre situation particulière.

De façon complémentaire, les données de la taxe d’habitation pourront être ponctuellement consultées : vérification, au moyen d’une interrogation nominative du fichier, de la qualité d’administré des demandeurs et de leur légitimité à recevoir le nombre de masques demandés au regard de la composition familiale.

La tenue d’un fichier de suivi

Les collectivités peuvent enfin tenir un fichier pour assurer le suivi des opérations de distribution des masques. Un tel suivi leur permettra, en particulier, de ne pas apporter une suite favorable à d’éventuelles demandes abusives.

Ce fichier devra être constitué dans le respect des droits des personnes ( Exemple de mention d'information) et ne contenir que des données strictement nécessaires à un suivi effectif. A cet égard, si des données relatives à l’identité des réceptionnaires des masques, et au nombre de masques délivrés, pourront naturellement être renseignées, aucune pièce justificative ne devrait être enregistrée. De même, si le nom des personnes ayant donné procuration à une autre pourra utilement être mentionné, il n’apparaît pas nécessaire de renseigner l’identité de toutes les personnes occupant un même foyer et pour le compte desquelles les masques sont récupérés.

Les données devront être traitées de façon sécurisée et pourront être conservées, sous une forme permettant l’identification des personnes concernées, uniquement pour la satisfaction des besoins de contrôle.

Pour aller plus loin

Quels sont les grands principes des règles de protection des données personnelles ? (Source : www.cnil.fr)
Sécurité des données (Source : www.cnil.fr)

Sources

COVID-19 : les traitements de données associés aux opérations de distribution de masques (Source : www.cnil.fr)
La CNIL considère possible l’utilisation du fichier de la taxe d’habitation pour la distribution des masques par les collectivités territoriales (Source : www.cnil.fr)
Communication municipale (Source : www.cnil.fr)
Les registres communaux d'alerte et d’information des populations (Source : www.cnil.fr)
La liste électorale (Source : www.cnil.fr)